Cybersécurité : 3 étapes pour les industries biotechnologiques et pharmaceutiques

Cet article a été initialement publié sur bio-itworld.com.

En ce qui concerne les besoins et les politiques de cybersécurité, les industries biotechnologiques et pharmaceutiques doivent sécuriser et protéger leurs actifs les plus précieux, comme tous les autres secteurs. Ce qui les rend uniques, cependant, c'est que si la protection des données d'une entreprise est importante pour tout secteur d'activité, ces informations (c'est-à-dire la recherche) est l'entreprise de biotechnologie ou de pharmacie en question constitue son élément vital et constitue la base de tout ce qu'elle fait.

Par rapport à d'autres secteurs hautement numérisés et étroitement réglementés tels que les services financiers, les biotechnologies et les produits pharmaceutiques ont toujours dépensé beaucoup moins pour les mesures et politiques de cybersécurité. Mais pourquoi ? La biotechnologie et l'industrie pharmaceutique sont toutes dans le même bateau lorsqu'il s'agit d'allouer des ressources à des domaines de recherche et de projets qui les aideront à atteindre leurs objectifs, à respecter les réglementations, etc. Le véritable défi est que cela nécessite des sacrifices ou des compromis avec d'autres secteurs de l'entreprise. La cybersécurité est souvent, mais pas toujours, l'une de ces choses qui ne reçoivent pas l'attention ou les ressources dont elle a besoin pour être efficace.

Les politiques et mesures de cybersécurité actuelles sont principalement centrées sur la sécurisation des défenses périmétriques telles que les pare-feux, qui ne protègent que « l'extérieur » de votre réseau. Mais grâce aux progrès technologiques et à la persévérance des acteurs malveillants pour trouver de nouvelles voies d'accès, la protection du périmètre ça ne suffit plus. Cela nécessite un changement de mentalité et opte pour une approche basée sur la « présomption de violation », ce qui signifie simplement qu'il ne s'agit pas de « si » mais de « quand » ces acteurs pirateront un réseau. La vraie question est donc : »Que faites-vous une fois qu'ils sont dans votre réseau? »

C'est ici microsegmentation la technologie entre en jeu. La microsegmentation est devenue une nouvelle façon d'envisager la cybersécurité. Pensez à votre réseau et à votre centre de données comme à un sous-marin : lorsque la coque d'un sous-marin est endommagée, les portes étanches situées de chaque côté de la section sont scellées, ce qui limite le débit d'eau. Cela permet au sous-marin de continuer à fonctionner au lieu de couler. Grâce à la microsegmentation, le même effet est obtenu pour le réseau d'une organisation. Il sépare les actifs de grande valeur de votre réseau (les joyaux de la couronne) des zones de faible valeur (à partir desquelles les intrus potentiels partiront). La microsegmentation empêche la propagation des violations et fournit une base pour Cyber-résilience si et quand un intrus franchit ces défenses périmétriques.

L'un des plus grands défis est de savoir par où commencer une fois qu'une mentalité de « violation présumée » est devenue réalité. Je voulais donc partager les trois premières étapes pour vous aider à démarrer :

Étape 1 : Collaborez pour identifier vos « joyaux de la couronne »

Bien qu'elle semble évidente, la classification de vos actifs de grande valeur peut être différente selon les parties prenantes au sein d'une organisation. Si une organisation n'a pas entrepris cet effort, la première étape consiste à réunir les principales parties prenantes (à savoir le CISO, les risques et la gouvernance, les principales parties prenantes commerciales, les services juridiques et financiers) dans le but de cartographier le risque des actifs et des applications au sein de l'infrastructure de l'entreprise. Une bonne façon de le faire est de regarder le Cadre de cybersécurité du NIST (CSF) afin qu'une évaluation des risques puisse être réalisée.

Étape 2 : Identifier le meilleur moyen de les protéger ou de les contrôler

Il existe de nombreuses couches pour protéger une application sur un joyau de la couronne. Il s'agit notamment de la gestion des identités et des accès (IAM), de la gestion des vulnérabilités et de la segmentation. S'assurer que votre organisation dispose d'un bon programme IAM qui utilise l'authentification à deux facteurs est un bon début. Veiller à ce que les vulnérabilités des joyaux de la couronne soient gérées de manière agressive constitue une autre victoire. Cependant, il peut être particulièrement difficile de corriger les vulnérabilités car les joyaux de la couronne peuvent ne pas être corrigés pour de nombreuses raisons (par exemple, gel de la production, absence de correctif disponible ou le correctif risquerait de perturber les applications). La segmentation est un autre contrôle vers lequel de nombreuses organisations se tournent et qui s'inscrit dans le CSF du NIST ; il garantit que les joyaux de la couronne ne sont accessibles qu'à partir d'appareils autorisés et que ces appareils n'ont accès qu'à des processus métier spécifiques sur les applications critiques.

Étape 3 : Évaluer les solutions potentielles qui conviennent à l'organisation

La détermination d'un ensemble de solutions pour résoudre le problème de segmentation commence par l'identification des principales parties prenantes susceptibles d'être sollicitées à différents moments du parcours (par exemple, ingénierie de sécurité, ingénierie réseau, équipes d'application, etc.). L'équipe devrait se réunir pour examiner les solutions disponibles sur le marché. Il est fortement recommandé que l'équipe examine les différentes approches des différents fournisseurs. Il est également important de se rappeler que la segmentation est un marché émergent. Traditionnellement, les entreprises utilisaient uniquement des pare-feux, des sous-réseaux et des zones pour protéger les applications, mais en raison de l'évolution du paysage des menaces et de l'évolution du calcul, de nouvelles solutions ont évolué pour résoudre le problème de la segmentation des applications situées dans les centres de données et les clouds publics existants.

Les sociétés biotechnologiques et pharmaceutiques doivent planifier à l'avance et réfléchir dès maintenant à la manière de répondre aux menaces futures. Il ne s'agit pas de si mais quand une organisation ou un individu sera victime d'une violation dans le cyberespace. Si vous y croyez, vous avez franchi l'étape cognitive la plus importante. Vous êtes prêt à « assumer une violation » et à renforcer votre résilience pour résister à une cyberattaque.